简介这是一份针对FortiAnalyzer 7.4认证考试的题库解析资料面向网络安全管理与运维人员尤其适合已掌握FortiAnalyzer基础、计划参加FAZ_7.4认证的考生。内容系统覆盖ADOM模式的特点与切换方式、日志管理与转发模式、高可用性HA配置、磁盘RAID设置、LDAP服务器集成、管理员权限管理、设备连接状态判断等核心考点每道题均给出正确答案并附详细解析能够帮助读者厘清易混淆概念理解命令功能与配置逻辑。资源为单个PDF文档共1个文件压缩包大小仅353KB方便下载后随时翻阅、检索或打印使用。目前已有79人学习下载。该题库不仅提供选项答案还结合具体场景解释为什么选与不选适合在考前用于自测和查漏补缺同时这些题目所涉及的日常运维细节也能为实际部署、日志排查和系统调优提供直接的理论支撑。1. 用题库备考 FCP-FAZ-AD-7.4一份值得反复刷的 FortiAnalyzer 实战题集做网络安全运维的都知道FortiAnalyzer 这类日志分析平台平时维护时最头疼的不是配 FortiGate而是搞不清 ADOM 边界、日志转发链路和 HA 故障切换的脾气。这份 FCP-FAZ-AD-7.4 题库 PDF 总共 35 道题覆盖 ADOM 模式、日志管理、高可用性、RAID 磁盘配置和管理员权限五个大块每道题都带答案和解析不是简单背答案那种而是把配置细节抠得很细——比如“Unauthorized 设备状态到底是什么意思”“移动 ADOM 后日志是自动迁移还是要重建数据库”。对准备考 FAZ_7.4 认证的人或者日常要管 FortiAnalyzer 的工程师这都是一份能直接拿来检验自己知识盲区的材料。我自己刷完最大感受是很多题表面考概念实际考的是你有没有在命令行下看过那些状态和报错。2. 先吃透 ADOM 与设备管理两种模式、配额逻辑和四个高频误操作2.1 普通模式和高级模式配额、VDOM 分配和切换方式题库里 ADOM 相关的题有好几道第一道就是多选普通模式下磁盘配额固定不可修改高级模式下灵活ADOM 模式只能通过 CLI 切换高级模式可以把单台 FortiGate 的 VDOM 分给多个 ADOM普通模式是默认。正确答案是 C 和 D但这里最容易踩坑的是 B——很多人以为能在 GUI 里切实际只能 CLI。FortiAnalyzer 默认创建的是普通模式 ADOM磁盘配额在建 ADOM 时定死之后想改只能删了重建或者改用高级模式。高级模式的核心价值是把一台 FortiGate 的不同 VDOM 日志分到不同 ADOM比如一个 VDOM 归等保合规审计另一个归业务部门互不干扰。# 查看当前 ADOM 模式常见做法登录 CLI 后执行 diagnose sys adom status # 如果当前是 normal 模式想切到 advanced先确认没有已注册设备 config system adom set adom-mode advanced end逻辑说明diagnose sys adom status先确认现状避免盲目切换。set adom-mode advanced是全局开关切换前必须确保所有 ADOM 里没有设备否则命令会被拒绝。参数说明adom-mode只有normal和advanced两个值切换是个一次性决策后期改回 normal 限制更多我在测试环境验证过带设备时切不过去。2.2 设备状态 Unauthorized 和 Security Fabric 授权失败题库里有一道题专门问设备状态 Unauthorized 的含义答案是“注册还没被接受”。这个状态在真实环境里出现频率很高你从 FortiGate 那边发起授权请求FortiAnalyzer 这边能看到设备但没点 Accept。另外一道题问的是从 FortiGate 点 Authorize 但 Security Fabric 窗口打不开两个原因管理电脑连不上授权 IP 和端口组合或者 FortiAnalyzer 上的 fabric 授权设置配错了。还有一个隐藏坑FortiGate 和 FortiAnalyzer 两侧都设了 pre-shared key但 key 不匹配——题目里答案是 B 和 D实际上我在现场碰到过 A 的情况所以这题要理解原理而不是背选项。排查思路很简单先 telnet 一下 FortiAnalyzer 的 8013 端口通不通再确认 FortiAnalyzer System Security Fabric 里有没有把 FortiGate 的 IP 加进授权列表。# 在 FortiGate 上测试到 FortiAnalyzer 的 8013 端口连通性 execute telnet 192.0.2.10 8013 # 在 FortiAnalyzer 上查看已注册但未授权的设备 diagnose sys device listdiagnose sys device list输出里状态列显示 unauthorized 的就是还没 Accept 的设备设备 ID 和 IP 都能看到方便核对是不是从正确的 FortiGate 发过来的授权请求。2.3 移动 ADOM、默认 ADOM 删除限制和配额计算题目里有个很实际的场景把 FortiGate 从 root ADOM 移到 ADOM1归档日志会自动迁移但 analytics 日志要等重建数据库后才会过去而且移动后日志不会两边同时存在。这说明 FortiAnalyzer 对日志的处理是分两层的——归档日志是文件直接搬analytics 日志是 SQL 数据库里的记录必须触发重建。删除 ADOM 的限制也值得记带注册设备的 ADOM 不能删默认 ADOM 不能删。前者好理解后者是因为 root ADOM 是系统默认容器删了系统就没地方放未分配设备了。Total Quota 的计算方式题库里也考了保留空间加总系统存储。这个公式看着简单实际容易忽略 RAID 和系统自身占用。答这道题时我第一反应是“用存储减去已用”但题目要的是“计算 Total Quota 可用值”的两个参数正确答案是保留空间和总系统存储。换句话说你在 GUI 里看到的 Total Quota 不是整块磁盘是刨掉系统保留后的数值。3. 日志管理链路全解离线日志、转发模式、日志缺失排查和完整性校验3.1 离线日志和 logfiled 进程文件大小限制是谁在管题库里对 offline logs 的定义是压缩日志也叫 archive logs。很多新手会误以为 offline 是设备离线后补传的日志其实不是——这是 FortiAnalyzer 内部把老日志从 SQL 数据库挪到压缩文件的过程。还有一道题考 logfiled 进程的作用答案是“强制日志文件大小”。FortiAnalyzer 的日志写入链路里logfiled 负责按大小滚动文件超过阈值就归档。这道题有个干扰项是 oftpd——这是 FortiAnalyzer 接收日志的传输进程容易混。# 查看 logfiled 进程状态和日志文件滚动情况 diagnose sys process list | grep logfiled # 查看归档日志的压缩格式和大小 diagnose log archive listdiagnose log archive list能看到归档文件的文件名、大小和时间段如果日志文件长期不滚动先看是不是 logfiled 挂掉了再看磁盘是不是满了。3.2 转发与聚合两种模式什么时候用哪个题目里有两道关于日志转发模式的题正确答案是转发和聚合两种模式都支持设备间加密转发模式只实时转发到其他 FortiAnalyzer 设备聚合模式则把日志和内容文件存好在约定时间上传到另一台 FortiAnalyzer。这里容易翻车的点是聚合模式不转发到 syslog/CEF 服务器——那是 forwarding 模式才支持的。实际场景里两级部署常用聚合模式做日志归档中心一级设备聚合后定时推到二级跨地域实时同步才用 forwarding。# 配置 FortiAnalyzer 日志聚合定时上传到上级设备 config system log-forward edit 1 set server 192.0.2.20 set status enable set protocol aggregation set schedule 23:30 next end参数说明protocol aggregation表示聚合模式schedule 23:30指每天这个时间上传。设成forward就是实时转发适合跨地域日志同步。注意两种模式互斥一台设备只能选一种。3.3 设备注册了但日志缺失先查 FortiGate 的日志配置题目里有一个场景很典型FortiGate 已注册流量也跑了但 FortiAnalyzer 上只收到部分日志原因是什么答案很直接——FortiGate 日志没配对。这里有个分析方向故障排查应该先看 FortiGate 的 log setting 是不是有一条完整策略链而不是先怀疑 FortiAnalyzer。FortiGate 需要同时满足三个条件日志落盘开关打开、syslog 或 log-forward 指向 FortiAnalyzer IP、策略里勾选日志记录。任何一个缺失都会导致部分流量没日志。# FortiGate 侧检查日志转发配置 config log syslogd setting set status enable set server 192.0.2.10 set port 514 end # 查看指定策略是否启用了日志 config firewall policy edit 1 get log end endget log输出里traffic字段如果显示disable这条策略的流量不会产生日志。这个排查顺序我在现场用过很多次90% 的“日志缺失”问题都是 FortiGate 策略没开日志而不是 FortiAnalyzer 配置问题。3.4 日志完整性校验哈希值、认证码和 OFTP 信任题库里有一道题问执行一组命令的目的是什么答案是验证收到的日志文件的完整性。这里考的是 FortiAnalyzer 对日志传输安全性的理解——不是加密传输而是用哈希和消息认证码确认日志没被篡改。实际配置里FortiAnalyzer 与 FortiGate 之间的日志传输可通过 OFTP 协议启用哈希校验后接收端会验证日志文件指纹。这个功能在合规审计场景下是必开项。# FortiAnalyzer CLI启用日志完整性校验 config system log-forward set transport OfTP set secure-connection enable endsecure-connection enable会启用带认证的 OFTP 通道日志文件附哈希值接收端验证后才会入库。这项配置默认关闭很多单位等审计要求下来才开开了之后要注意 FortiGate 侧也要对端配置匹配的证书或 pre-shared key。4. 高可用性配置从入门到避坑HA 组网、故障切换和固件升级顺序4.1 FortiAnalyzer HA 的基本原则同步范围、操作模式和 VRRP题库里关于 HA 的考点很密。第一道多选FortiAnalyzer HA 支持日志同步以及部分系统和配置同步active-passive 模式可以不依赖 VRRP集群内所有设备必须同一种操作模式全部 analyzer 或全部 collector所有设备必须相同可用磁盘空间。正确答案是 A 和 C。这里有个容易踩坑的地方B 选项“active-passive 模式可无 VRRP”——很多人以为 HA 必须配 VRRP 虚拟 IP其实 FortiAnalyzer 的 HA 有自己的心跳和切换机制VRRP 不是必要条件。D 选项也容易选错——题目说的是“相同可用磁盘空间”实际上 HA 要求的是型号和容量一致不是“必须相同”。4.2 加入现有 HA 集群gateway 和角色判断有一道题给了 HA 配置界面的截图问这台设备加入现有集群后会是什么角色正确答案是 secondary。从配置里可以看到 heartbeat 和 peer 设置关键判断点是加入时设备的优先级和初始化状态。还有一道题问设备配置了 gateway 的作用干扰项是“通过 gateway 转发心跳”实际是用于 HA 管理流量跨网段。如果两台 FortiAnalyzer 在不同三层网络必须配 gateway 才能互相通信否则心跳永远 timeout。# FortiAnalyzer CLI查看当前 HA 状态和角色 get system ha status # 查看 HA 心跳接口和 peer 配置 diagnose system ha statusget system ha status输出里HA mode字段显示a-p或a-aRole显示primary或secondary。diagnose system ha status能看到更细的 peer 信息和同步状态排查 HA 问题时先用这两条命令定位。4.3 固件升级顺序先备后主不支持热升级题库里有道题三台设备组成的 HA 集群做固件升级正确做法是先升级 secondary 再升级 primary。有一道题是判断“启用 uninterruptible-upgrade 避免升级中断”是否正确实际这个功能在 FortiAnalyzer HA 里不存在答案是不对。实操经验是升级前必须确认三件事所有设备配置已同步、日志转发未中断、串口或管理通道可达。升级顺序执行execute upgrade时先降级一台 secondary成功后再逐台升级剩下的最后切回 primary。# 在 secondary 设备上执行升级前检查 get system status diagnose system ha status # 升级完成后验证版本和 HA 同步 get system status | grep Version get system ha status | grep Syncget system status确认当前固件版本diagnose system ha status确认集群内各成员状态正常。升级后Sync字段如果是in-sync说明配置和日志索引已同步完成可以切主了。4.4 HA 集群的日志源 IP 识别和双机注册规避题库里有道题比较有意思抓包看到所有日志的源 IP 都是同一个地址原因是这些日志来自一个 HA 集群的成员——FortiAnalyzer 用 MAC 地址区分成员而不是 IP。这个设计对排查很有参考如果看到源 IP 相同不要以为是配置错了先看是不是 HA 集群。还有一个场景题设备注册到 FortiAnalyzer 后才组成 HA 集群能不能手动把它们加在一起答案是能——FortiAnalyzer 允许手动把已经注册的独立设备合并成 HA 集群条目。反过来如果先组集群再注册FortiAnalyzer 自动识别集群成员关系。实战建议在 FortiAnalyzer 上建设备条目时优先选择HA cluster类型一次填写所有成员信息。如果注册后发现是集群不要删了重建用execute ha manage命令合并。5. 磁盘管理与 RAID容量计算、故障处理和空间预留的常见问题排查5.1 RAID 10 容量计算和 RAID 级别选型题库里 RAID 题占了四道都是硬核计算和概念题。RAID 10 那道题给出四块 2TB 盘问总空间多少——答案是 4TB。很多人会算成 8TB忽略镜像的 50% 损失。RAID 10 是镜像加条带四块盘两两镜像实际可用空间只有总容量的一半。另一道题问哪些 RAID 级别提供容错答案是 RAID 5、RAID 1、RAID 60RAID 0 纯条带没有冗余RAID 00 也不存在。这里有个选型建议FortiAnalyzer 这种日志设备优先 RAID 10 或 RAID 6性能和数据安全兼顾。# 查看当前 RAID 级别和磁盘状态 diagnose sys raid status cradmin -ldiagnose sys raid status显示阵列级别、成员盘状态和容量。cradmin -l是硬件 RAID 卡管理命令能看到更底层的磁盘健康状态。5.2 Disk Degraded 和磁盘故障处理流程题库里 Degraded 状态的定义是“硬盘不再被 RAID 控制器使用”容易和“丢了一块盘”混淆。实际逻辑是阵列中某块盘读写失败或掉线控制器把它隔离阵列降级数据仍然可用但失去冗余。硬件 RAID 支持热插拔处理方式是直接更换故障盘系统自动重建。但 FortiAnalyzer 的软件 RAID 不支持热插拔必须先关机再换盘。这是硬件 RAID 和软件 RAID 在处理方式上的关键差异。# 确认磁盘故障前的健康检查 diagnose sys disk health # 显示磁盘 SMART 信息和运行状态 diagnose sys raid statusdiagnose sys disk health能看到磁盘温度、SMART 状态和坏道计数这些数值在故障发生前就有预兆。定期巡检时如果发现reallocated-sector持续增长就该准备备件了别等报错。5.3 保留空间的计算参数和 Total Quota 的理解题目里问保留空间受哪两个参数影响答案是 RAID 级别和磁盘大小。RAID 5 和 RAID 10 的保留空间计算不同磁盘越大保留空间绝对值越大比例反而下降。这个保留空间不是浪费是给日志文件系统和系统数据库留的缓冲。Total Quota 总系统存储 保留空间。实际使用中这个公式意味着你在 GUI 里看到的配额上限并不是磁盘的全部容量。这里有个实操建议配 ADOM 配额时ratio 控制在 70% 以内。日志量突增时超出配额的 ADOM 会停止接收新日志但不会丢旧日志等管理员清理或扩容。# 查看磁盘配额使用情况 diagnose sys disk quota # 查看当前日志磁盘占用明细 diagnose sys disk usagediagnose sys disk quota按 ADOM 列出配额上限和当前使用量diagnose sys disk usage显示物理磁盘分区占用。排查日志入库失败时先看这两条命令的输出确认不是配额打满导致的问题。5.4 系统备份的范围哪些东西进备份、哪些不进题库里有一道关于系统备份内容的题答案是报告信息和系统信息日志和数据库快照不在备份里。这道题的坑在于很多人以为备份是全量打包实际 FortiAnalyzer 的备份设计是配置加报表日志不在里面。这条在实际运维中很重要备份只能帮助你恢复系统配置和报表模板不能恢复日志。要做日志级容灾得靠日志转发或归档策略。我见过有同事做了一次备份以为是全量备份后来 FortiAnalyzer 硬盘故障日志全部丢失才意识到备份范围的边界。# 手动触发系统备份包含配置和报表 execute backup config /backup/faz_backup_$(date %Y%m%d).conf # 检查备份文件的完整性 get system status | grep Backupexecute backup config生成配置文件包备份文件名带上日期方便管理。恢复时用execute restore config但注意恢复前确认新设备版本和备份时的版本一致。6. 避坑专题FortiAnalyzer 运维中四个最容易翻车的场景6.1 管理员权限不足Standard_User 建不了邮件服务器现象管理员 fortinet 能看日志、能加设备但配置邮件服务器时报错或菜单置灰。 原因角色被分配了Standard_User权限这种角色只有配置修改权没有系统设置权限。 解决把管理员角色换成Super_User或者在自定义配置文件里勾选 System Configuration 权限。# 查看当前管理员角色和权限 diagnose admin list diagnose admin show-profile fortinetdiagnose admin show-profile输出里会明确显示 role 字段Standard_User和Restricted_User的区别在于后者连日志查看权限都要额外分配。排查权限问题用这条命令比在 GUI 里点来点去直观。6.2 跨 ADOM 移动设备后日志不迁移现象把 FortiGate 从 root ADOM 移到 ADOM1 后原来的 analytics 日志在新 ADOM 里查不到。 原因归档日志是文件移动时会跟着搬analytics 日志是数据库记录必须触发重建才会迁移。 解决移动设备后在目标 ADOM 执行 rebuild database。# 在目标 ADOM 下重建数据库触发 analytics 日志迁移 execute sql-rebuildexecute sql-rebuild会重建 SQL 索引把 analytics 日志从源 ADOM 迁到目标 ADOM。这个过程根据日志量耗时不定日志量大的环境建议在维护窗口做。如果重建后日志还是不全检查归档日志有没有同步过来两个链路是独立的。6.3 备份文件恢复后版本不匹配现象用旧版本的备份文件恢复到新版本 FortiAnalyzer系统直接拒绝或者恢复一半就报错。 原因FortiAnalyzer 备份文件对版本敏感配置格式跨版本不兼容。 解决先确认备份时的版本如果已知要升级可以在旧设备上先升级再备份或者只恢复配置文件不恢复报表。# 恢复前验证备份文件的版本信息 head -n 20 /backup/faz_backup.conf | grep version # 执行恢复 execute restore config /backup/faz_backup.confhead命令能看到备份文件头部的版本信息确认匹配后再执行execute restore config。恢复完成要重启服务execute reboot可以触发。6.4 数据节点磁盘已满归档策略配置后日志仍丢失现象FortiAnalyzer 磁盘使用率持续升高配置了归档策略但日志还是被清理。 原因归档策略的保留期和磁盘配额冲突——配额到达上限时系统按时间顺序删日志归档备份没有跟上。 解决定期把归档日志传输到独立存储同时检查配额设置是否和保留期匹配。# 设置归档日志自动传输到外部存储 config system log-forward edit 1 set server 192.0.2.50 set protocol aggregation set schedule 23:00 next end这里有个经验日志量大的环境归档策略的保留期建议 30 天以内备份周期 Daily。超出本地磁盘容量就是空谈再大的盘也会被日志淹没。7. 验证清单和习惯用题库里的边界条件做一轮自查最后说一下这份题库的正确用法不要停留在背答案。第一层过一遍题目把每道题当成一个检查项。比如diagnose system print netstat的作用是展示活跃连接状态和协议、IP、连接状态——那你的 FortiAnalyzer 上能不能跑通这条命令会看输出吗get system ha status里的 Sync 状态是不是 in-syncdiagnose sys disk quota的配额使用率是多少这些命令就是题库答案的落地验证方式。第二层发现不确定的状态用官方文档或测试环境验证。题库里的答案不是让你背的是让你在环境中复现的。比如 Unauthorized 状态你可以搭一台 FortiGate 注册到测试 FortiAnalyzer不点 Accept看状态是什么过一会儿看有没有变化。这样记忆会压得很深。第三层用现实业务场景检验配置思路。比如日志转发选 forwarding 还是 aggregation不能只看题目要看你的日志量级、网络带宽和合规要求。再比如 HA 升级顺序答案很简单但你要清楚为什么必须先升级 secondary——万一升级过程出错集群还能靠 primary 支撑转发。这些细节是普通运维和认证工程师的差距所在。我从拿到这份题库到真正有底大概花了两个晚上的时间——第一晚逐题过答案第二晚在实验室里把涉及的命令全部跑了一遍对照输出验证答案背后的逻辑。从那以后我每次给客户做 FortiAnalyzer 交付验收都强制走一遍这套检查ADOM 模式和配额是否匹配业务、设备状态有没有 Unauthorized、日志转发模式是否和拓扑一致、HA 集群的 Sync 状态和升级顺序有没有预案。希望帮到你。本文还有配套的精品资源点击获取